摘要

影响 WPBakery Page Builder 版本最高至 8.6 的存储型跨站脚本（XSS）漏洞已发布为 CVE-2025-10006。具有贡献者权限（或更高）的经过身份验证用户可能能够注入由插件持久化的 HTML/JavaScript，并在内容呈现时执行——无论是在公共网站还是在管理界面。.

尽管贡献者的权限设计上较低，但页面构建器中的存储型 XSS 是严重的，因为脚本可以针对查看内容的管理员或其他更高权限用户。可能的影响包括会话盗窃、权限提升、自动后门和持久性 SEO 垃圾邮件。供应商在 8.7 版本中修复了该问题。本文解释了风险场景、检测和遏制步骤以及实际缓解措施。.

谁受到影响？

• 运行 WPBakery Page Builder 版本 8.6 或更早版本的 WordPress 网站。.
• 允许贡献者（或更高权限）创建/编辑通过 WPBakery 元素呈现的内容的网站。.
• 没有补偿控制措施的网站，例如 WAF、严格的内容政策或角色强化。.

如果您已经在 8.7 或更新版本上，则供应商修复已应用。如果您无法立即修补（兼容性原因、暂存要求），请及时实施以下缓解措施。.

漏洞到底是什么？

简短说明

• 类型：存储型跨站脚本（XSS）
• 所需权限：贡献者（经过身份验证）
• CVE：CVE‑2025‑10006
• 受影响：WPBakery Page Builder ≤ 8.6
• 修复版本：8.7

技术背景（高层次）

WPBakery Page Builder 允许用户通过短代码和 HTML 片段创建元素。在这种情况下，贡献者的输入可以在没有足够清理或上下文转义的情况下持久化到帖子内容或插件管理的元数据中。当呈现时（帖子预览、管理编辑器或公共页面），浏览器可以执行嵌入的脚本。存储的性质意味着有效负载会持久存在，并可能在每次查看内容时触发。.

此处未发布任何利用代码；目的是解释风险和防御措施。.

为什么这很重要 — 现实世界的影响

• 管理员妥协： 如果管理员预览或编辑了一个被妥协的页面并且脚本运行，攻击者可能会尝试会话盗窃、基于 CSRF 的管理员操作或其他转移。.
• 持久性网站妥协： 存储型 XSS 可被滥用以注入后门、创建管理员用户或植入获取进一步有效负载的代码。.
• 声誉和 SEO 损害： 隐藏的垃圾邮件、重定向或钓鱼页面会损害排名和用户信任。.
• 数据盗窃： 表单或分析中的访客数据可能会被注入的脚本提取。.

CVSS 数字并不总能捕捉到现实世界的暴露；风险取决于工作流程以及管理员与贡献者内容的互动频率。.

利用场景（需要注意的事项）

1. 贡献者在 WPBakery 元素中保存了包含恶意负载的帖子。管理员稍后预览或编辑该页面；脚本在管理员上下文中执行。.
2. 贡献者发布内容（如果允许）以运行脚本，让访客执行重定向、显示垃圾邮件或挖掘资源。.
3. 攻击者通过用户代理或引荐检查隐藏负载，以便恶意行为在随意检查时不明显。.

如何检测是否被针对

快速审计清单：

• 插件版本： 从插件屏幕或 WP-CLI 确认 WPBakery 版本。如果 ≤ 8.6，假设存在暴露。.
• 审查最近的内容： 过滤过去 30-90 天内由贡献者撰写的帖子/页面，并检查不可信的 HTML。.
• 数据库扫描： 在 post_content 和 postmeta 中搜索脚本标记，例如
  查看我的订单

  0

  小计

  税费和运费在结账时计算

  结账